Active Directory Üzerindeki Logları Takip Etme

Aşağıdaki script ile bir kullanıcının son 30 gündeki grup ekleme/silme, kullanıcı oluşturma/silme gibi tüm kritik aksiyonlarını görebilirsiniz.

$Username = "test.user"
$StartTime = (Get-Date).AddDays(-30)
$EventIDs = 4720, 4726, 4727, 4728, 4729, 4732, 4733

Get-WinEvent -FilterHashtable @{
LogName = 'Security'
ID = $EventIDs
StartTime = $StartTime
} | Where-Object {
$_.Message -ilike "*$Username*"
} | Select-Object TimeCreated, ID, Message

NOT:

4720 – Kullanıcı oluşturuldu
4726 – Kullanıcı silindi
4727–4729 – Güvenlik grubu işlemleri (ekleme/silme)
4732–4733 – Yerel grup işlemleri (ekleme/silme)